핵심 요약 — 개인정보는 보유기간 경과·처리 목적 달성 등으로 불필요해지면 지체 없이 파기해야 하고(개인정보 보호법 제21조 제1항, 표준 개인정보 보호지침상 정당한 사유가 없는 한 5일 이내), 위반 시 3천만 원 이하 과태료 대상입니다(제75조 제2항 제4호). 다만 전자상거래법(계약·대금결제 기록 5년 등), 근로기준법(계약 서류 3년), 국세기본법(장부·증거서류 5년), 상법(상업장부 10년) 등 다른 법령이 보존을 요구하는 항목은 예외이며, 이 경우 해당 정보를 다른 개인정보와 분리하여 저장·관리하고(제21조 제3항) 보존 근거와 항목을 개인정보 처리방침에 기재해야 합니다(제30조 제1항 제3호의2).
회원 탈퇴 처리를 앞둔 스타트업 운영팀에서 흔히 두 가지 상반된 목소리가 나옵니다. 한쪽은 “환불 분쟁 나면 어떡해요, 일단 다 남겨두죠"라고 하고, 다른 쪽은 “개인정보는 탈퇴하면 바로 지워야 하는 것 아닌가요"라고 합니다.
둘 다 절반만 맞습니다. 전부 남기면 파기 의무 위반이고, 전부 지우면 법정 보존의무 위반입니다. 이 문제의 답은 “지운다/남긴다"의 양자택일이 아니라, 항목별로 근거와 기간을 나누는 것입니다.
회원이 탈퇴하면 언제까지 파기해야 하나? — ‘지체 없이’의 기준
개인정보 보호법 제21조 ① 개인정보처리자는 보유기간의 경과, 개인정보의 처리 목적 달성, 가명정보의 처리 기간 경과 등 그 개인정보가 불필요하게 되었을 때에는 지체 없이 그 개인정보를 파기하여야 한다. 다만, 다른 법령에 따라 보존하여야 하는 경우에는 그러하지 아니하다.
“지체 없이"의 실무 기준은 표준 개인정보 보호지침이 제시합니다 — 정당한 사유가 없는 한 5일 이내입니다. 파기는 삭제 버튼을 누르는 것으로 끝나지 않고 복구·재생이 불가능한 방법이어야 하며(제21조 제2항), 전자 파일은 영구 삭제, 서면은 파쇄·소각이 기준입니다(시행령 제16조).
파기하지 않으면 3천만 원 이하 과태료 대상(제75조 제2항 제4호)이지만, 실무에서 더 무서운 것은 따로 있습니다. 탈퇴 회원 데이터를 쌓아둔 회사가 유출 사고를 겪으면, 지웠어야 할 정보까지 유출 피해 규모에 합산됩니다. 지난 글에서 본 것처럼 9월부터 대규모 유출에 대한 과징금 상한이 올라가는 환경에서, 불필요한 데이터는 그 자체가 리스크 재고입니다.
어떤 법령이 보존을 요구하나? — 대표 보존기간표
제21조 제1항 단서의 “다른 법령"이 실제로 어떤 것들인지가 실무의 핵심입니다. 스타트업에 자주 적용되는 것을 추리면 다음과 같습니다.
| 기록 | 보존기간 | 근거 |
|---|---|---|
| 표시·광고에 관한 기록 | 6개월 | 전자상거래법 제6조, 시행령 제6조 제1항 제1호 |
| 소비자 불만·분쟁처리 기록 | 3년 | 같은 시행령 제6조 제1항 제4호 |
| 계약 또는 청약철회 기록 | 5년 | 같은 시행령 제6조 제1항 제2호 |
| 대금결제·재화 공급 기록 | 5년 | 같은 시행령 제6조 제1항 제3호 |
| 근로자 명부, 근로계약에 관한 중요 서류 | 3년 | 근로기준법 제42조 |
| 거래 장부와 증거서류(세무) | 법정신고기한 경과 후 5년 (역외거래 7년) | 국세기본법 제85조의3 제2항 |
| 상업장부와 영업에 관한 중요서류 | 10년 (전표류는 5년) | 상법 제33조 제1항 |
이 밖에도 업종에 따라 의료법(진료기록), 신용정보법, 전자금융거래법 등이 별도의 보존기간을 두고 있으므로, 규제 업종이라면 소관 법령을 추가로 확인해야 합니다.
전자상거래 사업자에게 특히 중요한 점: 소비자가 개인정보 동의를 철회해도 위 거래기록과 그에 포함된 거래 주체 식별정보는 보존할 수 있습니다(전자상거래법 제6조 제2항). “탈퇴했으니 다 지워달라"는 요청과 법정 보존이 충돌할 때 사업자를 지켜주는 근거이므로, 처리방침과 CS 안내문구에 미리 반영해 두는 것이 좋습니다.
‘5년 보존’이면 그 회원 정보를 전부 5년 두어도 되나?
법정 보존기간이 있다고 해서 그 사람의 모든 정보를 그 기간 동안 들고 있어도 되는 것이 아닙니다. 예외는 법령이 보존하라고 한 그 기록, 그 항목에만 미칩니다.
탈퇴 회원의 결제 기록 5년 보존이 허용된다고 해서, 그 회원의 서비스 이용 로그, 행태정보, 마케팅 수신 동의 이력, 프로필 사진까지 5년 보관할 근거가 되지는 않습니다. 보존 대상이 아닌 항목은 원칙으로 돌아가 지체 없이 파기해야 합니다. 그리고 보존 중인 정보를 보존 목적(거래 증빙·세무·분쟁 대응) 밖에서 — 예컨대 마케팅 재활용 — 쓰면 목적 외 이용이라는 별도의 위반이 됩니다.
보존기간 동안에는 어떻게 관리해야 하나? — 분리보관과 처리방침 기재
법정 보존으로 남기는 정보에는 두 가지 관리 의무가 따라붙습니다.
- 분리 저장·관리 (제21조 제3항) — 보존 정보는 운영 DB에 그대로 두는 것이 아니라 다른 개인정보와 분리해 저장·관리해야 합니다. 전자상거래법 시행령도 동의를 철회한 소비자의 기록은 별도 보존하도록 명시합니다(시행령 제6조 제2항 제3호). 실무적으로는 탈퇴 회원 테이블·아카이브 저장소를 분리하고, 접근 권한을 정산·법무 등 필요한 인원으로 좁히는 방식입니다.
- 처리방침 기재 (제30조 제1항 제3호의2) — 처리방침의 파기 항목에는 파기 절차·방법과 함께, 법령에 따라 보존하는 경우 그 보존 근거와 보존하는 개인정보 항목을 적어야 합니다. 처리방침 글에서 본 처리방침 평가제의 적정성 평가에서도 이 항목의 누락이 잘 드러나는 지점입니다.
퇴사한 직원의 개인정보는 언제까지 보관하나?
직원 데이터도 같은 구조로 정리됩니다. 근로자 명부와 근로계약에 관한 중요 서류는 3년(근로기준법 제42조), 급여·원천징수 등 세무 증빙은 법정신고기한 경과 후 5년(국세기본법 제85조의3)입니다. 그 밖의 정보 — 사내 메신저 계정, 복지 신청 내역, 채용 당시 이력서와 면접 평가 — 는 보존 근거가 없다면 퇴직 후 지체 없이 파기 대상입니다. 특히 불합격자의 이력서는 채용 절차가 끝나면 보존할 근거가 사라진다는 점을 놓치기 쉽습니다.
체크리스트
- 항목별 데이터 보유기간표(데이터 맵)가 있는가 — 수집 항목마다 ‘보유 근거 / 기간 / 기산점 / 파기 방법’을 한 표로. 이 표가 처리방침·파기 정책·개발 스펙의 공통 원본이 됩니다.
- 탈퇴·거래종료·퇴사 시 자동 분기가 구현되어 있는가 — 법정 보존 항목은 분리 저장소로, 나머지는 파기 큐로. 수작업에 의존하면 5일 기준을 지키기 어렵습니다.
- 분리보관 저장소의 접근 권한이 좁혀져 있는가 — 운영 조직이 평소처럼 조회할 수 있다면 분리보관이라 보기 어렵습니다.
- 처리방침의 파기 항목이 실제와 일치하는가 — 보존 근거·항목 기재(제30조 제1항 제3호의2) 누락 여부.
- 파기 이력을 남기는가 — 언제 무엇을 어떤 방법으로 파기했는지. 분쟁·조사에서 파기 의무 이행을 입증하는 자료가 됩니다.
데이터를 지우는 일은 쌓는 일보다 설계가 어렵습니다. 하지만 기준은 단순합니다 — 남기는 것에는 조문 하나씩 근거를 붙일 수 있어야 하고, 근거를 못 붙이는 것은 지운다. 이 원칙 하나로 보유기간표를 만들어 두면 탈퇴 처리, 유출 대응, 처리방침 평가가 모두 그 위에서 정리됩니다.
자주 묻는 질문
Q. 회원이 탈퇴하면 개인정보를 즉시 삭제해야 하나요?
원칙적으로 지체 없이(표준 개인정보 보호지침상 정당한 사유가 없는 한 5일 이내) 파기해야 합니다. 다만 전자상거래법상 계약·대금결제 기록 5년 등 다른 법령이 보존을 요구하는 항목은 그 기간 동안 다른 개인정보와 분리하여 보존할 수 있고, 보존 근거와 항목을 개인정보 처리방침에 밝혀야 합니다.
Q. 법정 보존기간 동안 보관 중인 개인정보를 마케팅에 활용해도 되나요?
안 됩니다. 법정 보존은 해당 법령이 정한 목적(거래 증빙, 세무, 분쟁 대응 등)을 위한 것이므로, 보존 중인 정보를 다른 목적으로 이용하면 목적 외 이용으로 별도의 위반이 됩니다.
Q. 퇴사한 직원의 인사 서류는 언제까지 보관해야 하나요?
근로자 명부와 근로계약에 관한 중요 서류는 근로기준법 제42조에 따라 3년간 보존해야 하고, 급여·원천징수 등 세무 관련 장부와 증거서류는 국세기본법 제85조의3에 따라 법정신고기한 경과 후 5년간 보존해야 합니다. 보존 의무가 없는 나머지 정보는 퇴직 후 지체 없이 파기하는 것이 원칙입니다.
이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다.
참고 자료
- 개인정보 보호법 제21조(개인정보의 파기), 제30조 제1항 제3호의2(처리방침 기재사항), 제75조 제2항 제4호(과태료)
- 개인정보 보호법 시행령 제16조(파기방법), 표준 개인정보 보호지침 제10조(5일 이내 파기)
- 전자상거래 등에서의 소비자보호에 관한 법률 제6조, 같은 법 시행령 제6조(거래기록 보존)
- 근로기준법 제42조(계약 서류의 보존), 국세기본법 제85조의3(장부 등의 비치와 보존), 상법 제33조(상업장부등의 보존)